تعمیل
امریکہ میں PIPEDA جیسا کوئی ایک پرائیویسی قانون نہیں ہے۔ یہ ہے منظرنامہ، اور ہم آپ کو کیا فراہم کرتے ہیں۔
بہت سے اعتماد کے صفحات پر "Compliant" لکھ دیا جاتا ہے جبکہ اس کے پیچھے کچھ نہیں ہوتا۔ یہاں تفصیل سے بتایا گیا ہے کہ ShieldID امریکی قانون کے تحت آپ کی تنظیم کی اپنی پرائیویسی ذمہ داریوں کی معاونت کے لیے کیا کرتا ہے، اور کیا نہیں کرتا۔
امریکی پرائیویسی کا منظرنامہ
ریاستی جامع قوانین، ریاستی بایومیٹرک قوانین، اور وہ شعبہ جاتی قواعد جو آپ پہلے سے نبھا رہے ہیں۔
امریکہ میں شناخت کی تصدیق کا احاطہ کرنے والا کوئی ایک وفاقی پرائیویسی قانون نہیں ہے۔ اس کے بجائے مختلف قوانین کا ایک مجموعہ ہے، اور ShieldID ان کے ان حصوں کو مدنظر رکھ کر بنایا گیا ہے جو ہمارے کام سے متعلق ہیں۔
- ریاستی جامع پرائیویسی قوانین، کیلیفورنیا کے CCPA/CPRA اور دیگر کی بڑھتی ہوئی فہرست، صارفین کو رسائی، حذف کرنے، درستی اور اپنی ذاتی معلومات کی فروخت سے اخراج (opt out) جیسے حقوق دیتے ہیں۔
- ریاستی بایومیٹرک پرائیویسی قوانین چہرے کے میچ اور لائیونیس پر براہ راست لاگو ہوتے ہیں۔ الینوائے کا BIPA، ٹیکساس کا CUBI اور واشنگٹن کا بایومیٹرک پرائیویسی قانون، ہر ایک بایومیٹرک شناخت کنندگان کو جمع کرنے اور سنبھالنے کے اپنے قواعد طے کرتا ہے۔
- ہمارے بہت سے صارفین ریاستی قانون کے علاوہ کسی شعبہ جاتی قاعدے کے بھی پابند ہوتے ہیں، مثلاً کسی قرض دہندہ کا Customer Identification Program۔ ShieldID کے ہر فیلڈ کے فیصلے اور شواہد اس عمل کے لیے ایک ان پٹ بننے کے لیے بنائے گئے ہیں، اس کا متبادل بننے کے لیے نہیں۔
- ان میں سے کسی بھی قانون کی تعمیل ShieldID استعمال کرنے والی تنظیم کی ذمہ داری ہے، ایسی چیز نہیں جس کی تصدیق ہم آپ کی طرف سے کر سکیں۔ ہم کنٹرولز اور ریکارڈ فراہم کرتے ہیں؛ یہ آپ کی تنظیم کی ذمہ داریوں کے ساتھ کیسے مطابقت رکھتے ہیں، یہ آپ کے اپنے وکیل کے سوچنے کا سوال ہے۔
ہم کہاں سے آئے ہیں
Crown Stack Systems ایک کینیڈین کمپنی ہے، اور PIPEDA آج بھی ہم پر لاگو ہوتا ہے۔
ShieldID کو Crown Stack Systems نے بنایا ہے، جس کا مرکز اوشاوا، اونٹاریو میں ہے۔ ایک کینیڈین کمپنی کے طور پر، ہم اپنے صارفین چاہے کہیں بھی ہوں، جو ذاتی معلومات سنبھالتے ہیں ان کے لیے کینیڈا کے وفاقی پرائیویسی قانون PIPEDA کے تحت جوابدہ ہیں۔ یہ ہمارے بارے میں ایک حقیقت ہے، امریکی کاروبار کے طور پر آپ کی اپنی تعمیل کی ذمہ داریوں کے بارے میں کوئی دعویٰ نہیں؛ وہ اوپر بیان کردہ ریاستی اور شعبہ جاتی قواعد سے طے ہوتی ہیں، اور انہیں پورا کرنا آپ کا کام ہے۔
رضامندی
بہاؤ کے اندر حاصل کی جاتی ہے، فرض نہیں کی جاتی۔
درخواست گزار کی دستاویز اور چہرہ لینے سے پہلے اسے نظر آتا ہے کہ کیا جمع کیا جا رہا ہے اور کیوں۔
- رضامندی درخواست دہندہ کے سامنے اس کے اپنے آلے پر، تصدیقی عمل کے حصے کے طور پر، اس کی شناخت اور چہرہ کیپچر ہونے سے پہلے پیش کی جاتی ہے، کسی الگ شرائط کے صفحے میں چھپا کر نہیں جسے وہ کبھی کھولتا ہی نہیں۔
- قبولیت جس لمحے ہوتی ہے اسی لمحے Trust Ledger کے Activity Ledger میں ایک EULA_ACCEPTED ایونٹ کے طور پر درج ہو جاتی ہے۔ بایومیٹرک اسکین کے لیے مخصوص رضامندی کا الگ ایونٹ ابھی موجود نہیں ہے۔
- اس رضامندی میں بیان کردہ تصاویر وہی ہیں جو بطور ڈیفالٹ سات دن بعد خودکار طور پر حذف کر دی جاتی ہیں، جیسا کہ برقراری کے صفحے پر بیان ہے۔
عملی کنٹرولز
جو کچھ ShieldID حقیقت میں فراہم کرتا ہے، پالیسیوں کا پلندہ نہیں۔
رضامندی کا حصول
درخواست دہندہ اپنی شناخت اور چہرہ کیپچر ہونے سے پہلے، اپنے آلے پر، اس بات کو قبول کرتا ہے کہ کیا جمع کیا جا رہا ہے۔ قبولیت EULA_ACCEPTED ایونٹ کے طور پر درج ہوتی ہے۔
تصاویر کا خودکار خاتمہ
شناختی تصاویر اور سیلفی بطور ڈیفالٹ سات دن بعد خودکار طور پر حذف کر دی جاتی ہیں، ہر گھنٹے جانچ ہوتی ہے اور ہر ری اسٹارٹ کے بعد دوبارہ۔
ذاتی معلومات کی فروخت نہیں
ہم درخواست دہندگان کی ذاتی معلومات کسی کو بھی، کسی بھی وجہ سے فروخت نہیں کرتے۔
ماڈلز کی تربیت کے لیے استعمال نہیں
تصدیقی تصاویر اور نتائج آپ کی تصدیق فراہم کرنے کے لیے استعمال ہوتے ہیں، کسی ماڈل کی تربیت کے لیے کبھی نہیں۔
ہر فیلڈ کے فیصلے اور شواہد
ہر چیک، یعنی دستاویز، چہرے کا میچ اور لائیونیس، اپنے پیچھے موجود شواہد کے ساتھ الگ فیصلے کے طور پر رپورٹ کیا جاتا ہے، ایک مجموعی اسکور کے طور پر نہیں۔
صرف اضافے والا Activity Ledger
Trust Ledger اکاؤنٹس کے لیے آج دستیاب ہے؛ علیحدہ ShieldID API اکاؤنٹ کے لیے جلد آ رہا ہے۔
دو عاملی توثیق
سیلف سروس اندراج جلد آ رہا ہے۔ جب کسی اکاؤنٹ پر TOTP کوڈ سیٹ ہو جائے تو پورٹل سائن اِن پر اسے لازمی نافذ کرتا ہے۔
ثابت کریں، صرف دعویٰ نہ کریں
ایکٹیویٹی لیجر ہی وہ ذریعہ ہے جس سے تعمیل قابلِ جانچ رہتی ہے۔
ایسی پالیسی جو کہتی ہے کہ رسائی کنٹرول میں ہے، ایک وعدہ ہے۔ ایسا لیجر جو ہر رسائی دکھائے اور جسے ڈیٹا بیس نافذ کرے، ثبوت ہے۔ یہی وہ فرق ہے جس کی طرف ہم بڑھ رہے ہیں، اور یہ سائن اِن، دستاویز تک رسائی اور تصدیق کے نتائج کے لیے پہلے ہی فعال ہے۔
سرٹیفکیشنز
ابھی کوئی نہیں۔ ہم ایسا بیج نہیں چھاپیں گے جو ہم نے حاصل نہیں کیا۔
آج ShieldID کے لیے SOC 2، ISO 27001 یا اس طرح کی کوئی سرٹیفیکیشن موجود نہیں ہے، اور اس سائٹ پر کہیں اس کا اشارہ بھی نہیں دیا گیا۔ "CCPA compliant" یا "BIPA compliant" ہونے جیسی کوئی چیز بھی نہیں ہوتی؛ یہ ایسے قوانین ہیں جو ڈیٹا جمع کرنے والے کاروبار پر ذمہ داریاں عائد کرتے ہیں، کوئی سرٹیفیکیشن پروگرام نہیں جسے کوئی وینڈر پاس کر سکے، اور ہم اس کے برعکس کوئی تاثر نہیں دیں گے۔ اگر مستقبل میں ہمارے پاس کوئی سرٹیفیکیشن ہوئی تو وہ اجرا کی تاریخ اور اس کے دائرہ کار کی ٹھیک تفصیل کے ساتھ یہاں ظاہر ہوگی۔
ایک اور بات
یہ صفحہ قانونی مشورہ نہیں ہے۔
یہ بیان کرتا ہے کہ ShieldID پلیٹ فارم کیا کرتا ہے۔ آیا یہ ریاستی پرائیویسی قانون، الینوائے کے BIPA جیسے بایومیٹرک پرائیویسی قانون، قرض دہندہ کے Customer Identification Program جیسے شعبہ جاتی قاعدے، یا کسی اور نظام کے تحت آپ کی تنظیم کی مخصوص ذمہ داریوں کو پورا کرتا ہے، یہ آپ کے اپنے وکیل یا پرائیویسی افسر کے سوچنے کا سوال ہے، کسی مارکیٹنگ صفحے کا نہیں۔
سوالات
کمپلائنس کے بارے میں سیدھے جوابات۔
ہم سے بات کریں
تعمیل کے بارے میں کوئی مخصوص سوال ہے؟
ہم سے براہِ راست پوچھیں — سکیورٹی سوالنامے، کسی مخصوص کنٹرول، یا کسی ایسی چیز کے لیے جو اس صفحے میں شامل نہیں تھی۔